PHPでWebページにCSRF対策を追加するのは簡単です。全てのページにCSRF対策を追加する場合、ファイルを１つインクルードする以外、ほとんど何も行う必要がありません。 (さらに…)

クロスサイト・リクエスト（他のWebサイトから自分のサイトへURLリンクやPOSTでアクセスする）を制限したいWebアプリケーションは結構あります。例えば、ホームルーターの管理ページを作る場合、クロスサイト・リクエストは有用などころか有害です。ホームルーターの管理ページにはクロスサイト・リクエストによる脆弱性が多数報告されています。 PHPの基本機能を使えば…

リクエストフォージェリを再考してみたいと思います。リクエストフォージェリには SSRF（サーバーサイドリクエストフォージェリ） CSRF（クロスサイトリクエストフォージェリ） XXE(XMLエクスターナルエンティティ） などがあります。これらは「リクエスト」を「偽装」（フォージェリ）する攻撃です。名前からは直感的にどのような攻撃なのかよく解らないですが、「リ…

リクエストフォージェリ（Request Forgery - リクエスト偽造）はかなり古くから知られている脆弱性です。恐らく1980年代から良く知られていたはずです。昔から知られているSSRFとCSRFの類似性を考えてみます。類似性を考えると、少し解りづらいCSRFも簡単に理解できるかも知れません。

GNUCitizenによると CSRF - It comes very handy. It seams that no matter how much you talk about it, very few pay attention on the problem. And it is not a problem that you can afford to…

BaffaloのWHR-G54S http://buffalo.jp/products/catalog/item/w/whr-g54s/ にCSRF脆弱性とレポートされています。海外製品のレポートは見かけますが、日本製のSOHOルータのレポートは記憶にないです。よくある脆弱性なので日本製のレポートは初めてではないと思いますが、個人的には初物なので書きました。…